Privacybeleid - gearchiveerde V1

Je bekijkt een gearchiveerde versie van ons privacybeleid. Bekijk de nieuwste versie voor actuele informatie.

Bekijk nieuwste privacybeleid

Van kracht: 1 oktober 2026 - 31 oktober 2026

De korte versie

Niemand leest privacyverklaringen. Dus hier is alles in tien regels, met de volledige versie eronder.

• Je gegevens zijn van jou. Voor afspraken die via je Cal.com account zijn gemaakt, ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker. We verwerken ze namens jou en we verkopen ze niet, aan niemand, ooit.
• We verzamelen het minimum. Namen, e-mailadressen, telefoonnummers en alles waar je boekingsvragen om vragen. Plus de saaie technische dingen die elke website krijgt: IP-adres, browser, bekeken pagina's.
• De database is waar persoonsgegevens staan. Niet in onze logs, niet in onze analytics, niet in een spreadsheet. Onze eigen engineeringregels verbieden persoonsgegevens in logs, foutrapporten en analytics-events. We sturen ID's, geen mensen.
• We gebruiken subverwerkers, en we noemen ze allemaal. E-mail, SMS, video, betalingen, AI, opslag, support. De volledige tabel met hun doelen staat in ons Trust Center.
• AI-functies zijn opt-in en beperkt. AI-vergadernotities sturen de transcriptietekst (geen titels, geen deelnemerslijst, geen links). AI-telefoonagents sturen het telefoonnummer en de gastgegevens die nodig zijn om het gesprek te voeren. Niets wordt gebruikt om iemands modellen te trainen.
• Je apps zijn jouw keuze. Wanneer je Google Calendar, Zoom, Salesforce of een webhook koppelt, stromen gegevens daarnaartoe omdat jij dat hebt aangegeven. Dat zijn jouw integraties, volgens jouw instructies.
• Geen cookies van derden in het product. Onze marketingsite gebruikt wel analytics en advertentiemeting. Zie het gedeelte over cookies.
• Je kunt je gegevens exporteren of verwijderen. Op elk moment, zelf of via e-mail. Verwijderen betekent verwijderd, ook bij onze subverwerkers.
• Vragen: [email protected]. Echte mensen, geen formulier.

Wie is wie: verwerkingsverantwoordelijke versus verwerker

Dit brengt mensen in de war, dus dit komt eerst.

Wat het betekent: als je een deelnemer bent die een afspraak heeft geboekt en je je gegevens wilt laten verwijderen, is de snelste route de persoon bij wie je hebt geboekt. We helpen hoe dan ook, en we sturen het verzoek door.

Wat we verzamelen

Gegevens die jij en je boekers ons geven

• Accountgegevens: naam, e-mailadres, gebruikersnaam, wachtwoordhash of SSO-identiteit, tijdzone, profielfoto en je beschikbaarheid.
• Boekingsgegevens: namen en e-mailadressen van deelnemers, telefoonnummers wanneer SMS-herinneringen of telefoongesprekken worden gebruikt, vergadertitels en locaties, antwoorden op je boekingsvragen, notities, gastenlijsten, annulerings- en wijzigingsredenen.
• Factuurgegevens: bedrijfsnaam, factuuradres en betaalkaartgegevens. De kaart gaat rechtstreeks naar Stripe, en wij zien of bewaren die nooit.
• Supportgegevens: alles wat je ons schrijft, plus de accountcontext die aan het gesprek is gekoppeld.

Gegevens die we automatisch verzamelen

• IP-adres, browser en apparaat, verwijzende URL, bekeken pagina's en tijdstempels.
• Productgebruik-events (welke functies je gebruikte, hoe vaak) gekoppeld aan een nietszeggende ID, niet aan je e-mailadres.
• Fout- en prestatiediagnostiek wanneer er iets stukgaat.

Wat we bewust niet doen

• We verzamelen niet opzettelijk bijzondere persoonsgegevens. Je boekingsvragen kunnen dat wel doen. Als je naar gezondheid vraagt, zijn dat gezondheidsgegevens in je Cal.com account, en het is aan jou om er rechtmatig om te vragen. Zie "Gezondheidsinformatie".
• We verzamelen niet bewust gegevens van personen jonger dan 18.
• We maken geen advertentieprofielen op basis van boekingsgegevens, en we verkopen of verhuren geen persoonsgegevens.

Wat het betekent: we bewaren wat nodig is om een afspraak in twee agenda's te zetten, je te factureren en je te ondersteunen. De interessante persoonsgegevens, de antwoorden van je boekers, bewaren we voor jou, niet voor ons.

Waarom we dit mogen (rechtsgronden, GDPR art. 6)

Subverwerkers: wie er nog meer met persoonsgegevens in aanraking komt

We gebruiken andere bedrijven voor het draaien van Cal.com. Elke subverwerker heeft een verwerkersovereenkomst met ons, krijgt alleen wat nodig is en verwerkt gegevens alleen volgens onze instructies. Wat ze doen en waar ze gegevens verwerken, staat in ons Trust Center.

Hoe je over wijzigingen hoort. In overeenstemming met onze Verwerkersovereenkomst kunnen we subverwerkers toevoegen of vervangen om Cal.com te leveren, beheren, beveiligen en ondersteunen. Waar onze Verwerkersovereenkomst dat vereist, laten we je weten voordat een nieuwe of vervangende subverwerker Customer Personal Data gaat verwerken.

Als je bezwaar hebt op redelijke en onderbouwde gronden voor gegevensbescherming, kun je dat doen zoals beschreven in de Verwerkersovereenkomst. Heb je vragen over een subverwerker, mail dan naar [email protected].

Advertenties en leadidentificatie (marketingsite en marketingtools, niet het product)

Deze worden beheerd door ons marketingteam en zitten niet in de productcode. Ze zien alleen gegevens van de marketingsite en marketinglijsten, nooit boekingsgegevens, antwoorden van deelnemers of iets uit je Cal.com-account.

Wat dit betekent: als je in de EER of het VK bent, worden de leveranciers voor doelgroepmatching en bezoekersidentificatie niet voor jou uitgevoerd. Elders kun je ze uitschakelen door marketingcookies te weigeren, of door Global Privacy Control te gebruiken.

Apps en integraties die je koppelt

Wanneer je een app koppelt, geef je ons opdracht om gegevens ernaartoe te sturen. Dat doen we precies, en niets meer.

• Agenda’s: Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho: afspraaktitels, beschrijvingen, tijden, locaties, namen en e-mailadressen van organisatoren en deelnemers, en vrij/bezet-gegevens.
• Video: Zoom, Google Meet, Microsoft Teams en andere: vergadergegevens die nodig zijn om de link aan te maken.
• CRM en automatisering: Salesforce, HubSpot, Pipedrive en vergelijkbare tools: naam en e-mailadres van de deelnemer, vergadergegevens en je antwoorden op boekingsvragen.
• Webhooks en je eigen SMTP-server: jij levert het endpoint of de mailserver; die ontvangt alles wat de events waarop je bent geabonneerd bevatten.

Wat dit betekent: dit zijn jouw verwerkers, niet de onze. Hun privacybeleid is van toepassing, en als je de app loskoppelt stopt de gegevensstroom. We kunnen niet verwijderen wat al in je CRM staat.

Gezondheidsinformatie (PHI)

Cal.com is geen gezondheidsproduct, maar boekingen kunnen gezondheidsinformatie bevatten: een intakevraag, een vergadertitel, notities. Als je Cal.com gebruikt voor iets dat onder HIPAA valt, is die data slechts zo beschermd als de overeenkomst erachter: regel een BAA via go.Cal.com/BAA voordat je die verzamelt, en houd die buiten boekingsvelden die naar apps van derden worden gekopieerd.

Hoelang we het bewaren

Waar je gegevens naartoe gaan

We zijn een Amerikaans bedrijf en gegevens worden verwerkt in de Verenigde Staten. Sommige subverwerkers verwerken ze ergens anders. Voor doorgiften vanuit de EER of het VK naar de Verenigde Staten vertrouwen we op het EU-U.S. Data Privacy Framework en de UK Extension waar van toepassing, zoals hieronder beschreven. We gebruiken ook standaardcontractbepalingen waar passend, ook voor doorgiften vanuit Zwitserland. Als je EU-dataresidency nodig hebt, neem dan contact met ons op via [email protected].

EU-U.S. Data Privacy Framework en UK Extension

Cal.com, Inc. voldoet aan het EU-U.S. Data Privacy Framework (EU-U.S. DPF) en de UK Extension to the EU-U.S. DPF zoals vastgesteld door het Amerikaanse ministerie van Handel. Cal.com, Inc. heeft aan het ministerie verklaard dat het zich houdt aan de EU-U.S. DPF Principles voor persoonsgegevens die geen HR-gegevens zijn en die uit de Europese Unie en de Europese Economische Ruimte worden ontvangen op basis van het EU-U.S. DPF, en uit het Verenigd Koninkrijk en Gibraltar op basis van de UK Extension. Deze toezegging geldt niet voor HR-gegevens van werknemers die worden doorgegeven voor gebruik in een arbeidsrelatie. Als dit beleid in strijd is met de DPF Principles, zijn de Principles leidend. Lees meer over het programma en bekijk, zodra Cal.com op de Data Privacy Framework List staat, de vermelding op dataprivacyframework.gov.

De gedekte gegevens kunnen namen, e-mailadressen, telefoonnummers, account- en profielgegevens, beschikbaarheid, boekings- en vergadergegevens, antwoorden op boekingsvragen, facturatie- en supportinformatie en website-, apparaat-, gebruiks- en beveiligingsinformatie omvatten. Klanten kunnen boekingsvragen instellen die gevoelige gegevens verzamelen. We gebruiken gedekte gegevens om planning en gerelateerde diensten te leveren, accounts, boekingen en betalingen te beheren, met gebruikers en deelnemers te communiceren, support te bieden, de dienst te beveiligen en te verbeteren, en marketing uit te voeren waar toegestaan. Andere onderdelen van dit beleid beschrijven deze gegevens en doeleinden uitgebreider.

We verstrekken relevante gedekte gegevens aan dienstverleners en subverwerkers voor hosting, opslag, e-mail en SMS, video, betalingen, support, analytics, beveiliging en optionele functies, en aan integraties die klanten selecteren. Ons Trust Center vermeldt subverwerkers en hun doeleinden. We kunnen ook persoonsgegevens verstrekken wanneer de wet dat vereist. Onder het DPF-beginsel voor aansprakelijkheid bij verdere doorgifte blijft Cal.com aansprakelijk als een agent gedekte gegevens verwerkt op een manier die niet in overeenstemming is met de Principles, tenzij Cal.com bewijst dat het niet verantwoordelijk was voor de gebeurtenis die tot de schade leidde.

Personen kunnen toegang tot gedekte gegevens aanvragen en ons vragen gegevens te corrigeren, aan te passen of te verwijderen die onjuist zijn of in strijd met de Principles worden verwerkt. Waar het DPF Choice Principle dat vereist, kunnen personen zich afmelden voordat gedekte gegevens aan een derde worden verstrekt of voor een wezenlijk ander doel worden gebruikt. Waar dat Principle uitdrukkelijke toestemming voor gevoelige informatie vereist, vragen we die vóór het relevante gebruik of de relevante verstrekking. Stuur verzoeken naar [email protected]. Voor boekingsgegevens die we in opdracht van een klant verwerken, stemmen we met die klant af om het verzoek te behandelen.

Personen in de EU en het VK moeten DPF-vragen of -klachten eerst sturen naar Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States; [email protected]; +1 415 212 6667. Felix Kolodziej, verantwoordelijk voor compliance, is ook bereikbaar via [email protected]. We reageren binnen 45 dagen op DPF-klachten. Voor onopgeloste klachten over gedekte gegevens zeggen we toe samen te werken met en te voldoen aan het advies van het panel dat is ingesteld door de EU-gegevensbeschermingsautoriteiten voor EU-gegevens, en de UK Information Commissioner’s Office en Gibraltar Regulatory Authority voor gegevens uit het VK en Gibraltar. Deze onafhankelijke verhaalsmechanismen zijn kosteloos beschikbaar voor personen.

Cal.com, Inc. valt onder de onderzoeks- en handhavingsbevoegdheden van de U.S. Federal Trade Commission voor de naleving van het EU-U.S. DPF en de UK Extension. Onder bepaalde voorwaarden kunnen personen bindende arbitrage inroepen voor resterende claims over DPF-naleving. We kunnen verplicht zijn om gedekte gegevens te verstrekken naar aanleiding van rechtmatige verzoeken van overheidsinstanties, ook om te voldoen aan vereisten voor nationale veiligheid of rechtshandhaving.

Cookies

• In de app: cookies voor inloggen, voorkeuren onthouden en beveiliging. Geen advertentiecookies van derden.
• Op de marketingsite: de hierboven genoemde cookies voor analytics en advertentiemeting. Je kunt ze weigeren.
• We respecteren Global Privacy Control- en Do Not Track-signalen.

Je rechten

Waar je ook woont, je kunt ons vragen om: inzage te krijgen in je gegevens, ze te corrigeren, ze te verwijderen, ze te exporteren, verwerking te beperken of bezwaar te maken tegen verwerking, of toestemming in te trekken. Als je in Californië woont, komt daar nog bij: weten wat we verzamelen, het verwijderen, het corrigeren en je afmelden voor verkoop of delen. We verkopen of delen het niet, dus er valt niets af te melden. Als je in de EER of het VK woont, kun je ook een klacht indienen bij je gegevensbeschermingsautoriteit.

Het meeste hiervan kun je zelf regelen in je instellingen. Stuur anders een e-mail naar [email protected] en we reageren binnen 30 dagen. We vragen je eerst om je identiteit te verifiëren, en we behandelen je niet slechter omdat je dit vraagt.

Beveiliging

Versleuteling tijdens overdracht en opslag, toegang met minimale rechten, SSO en 2FA, gecontroleerde infrastructuur en een bug bounty. Details en onze huidige rapporten: cal.com/security. Geen enkel systeem is volledig veilig; als er iets misgaat, informeren we getroffen klanten zonder onnodige vertraging en volgens onze DPA.

Wijzigingen in dit beleid

We plaatsen de nieuwe versie hier en werken de ingangsdatum bij. Bij wezenlijke wijzigingen, zoals een nieuwe categorie subverwerkers of een nieuw gebruik van gegevens, e-mailen we je voordat dit ingaat.

Contact

Functionaris voor gegevensbescherming: [email protected]
Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, Verenigde Staten

EU-vertegenwoordiger (GDPR art. 27): Felix Kolodziej, [email protected], adres op aanvraag

Al het andere: [email protected]